Arrêté du ministre des technologies de la communication du 12 septembre 2023, fixant les procédures et les mécanismes de classification des organismes soumis à un système d'audit obligatoire et périodique de leurs systèmes d'information

Le ministre des technologies de la communication,

Vu la Constitution,

Vu le code des télécommunications promulgué par la loi n° 2001-1 du 15 janvier 2001, ensemble les textes qui l'ont modifié ou complété, dont le dernier en date la loi n° 2013-10 du 12 avril 2013,

Vu le décret-loi n° 2023-17 du 11 mars 2023, relatif à la cybersécurité,

Vu le décret n° 2004-1248 du 25 mai 2004, fixant l'organisation administrative et financière et les modalités de fonctionnement de l'agence nationale de la sécurité informatique,

Vu le décret n° 2012-1997 du 11 septembre 2012, fixant les attributions du ministère des technologies de l'information et de la communication,

Vu le décret n° 2012-1998 du 11 septembre 2012, portant organisation du ministère des technologies de l'information et de la communication,

Vu le décret Présidentiel n° 2021-138 du 11 octobre 2021, portant nomination des membres du Gouvernement,

Vu le décret n° 2023-550 du 1er août 2023, portant nomination du Chef du Gouvernement.

Arrête :

Article premier - L'Agence Nationale de la Cyber sécurité classe d'une manière obligatoire et périodique les structures citées à l'article 6 du décret-loi n° 2023-17 du 11 mars 2023 relatif à la cyber sécurité, selon le degré de confiance numérique en (3) niveaux comme suit :

• Premier niveau : organisme classifié premier degré,
• Deuxième niveau : organisme classifié deuxième degré,
• Troisième niveau : organisme non classifié.

Art. 2 - Il est créé au sein de l'Agence une commission technique chargée de classer les structures soumises au classement, présidée par le directeur général de l'Agence ou son représentant, et composée des membres représentants des structures suivantes :

• Ministère chargé des Technologies de la Communication,
• Centre d'Etudes et de Recherche des Télécommunication,
• Agence Nationale des Fréquences,
• Agence Nationale de Certification Electronique,
• Agence Technique des Télécommunications.

La commission technique se réunit sur convocation de son président chaque fois que nécessaire pour déterminer les niveaux du classement.

La commission technique ne peut se réunir légalement qu'en présence de la majorité de ses membres. Elle émet ses avis à la majorité des voix des membres présents. En cas d'égalité des voix, celle du président est prépondérante.

Dans le cas où le quorum n'est pas atteint, les membres de la commission seront convoqués pour une deuxième réunion trois (3) jours après la date de la première, dans ce cas, la commission se réunit quel que soit le nombre des membres présents et ses travaux sont consignés par des procès-verbaux.

L'Agence Nationale de la Cybersécurité assure le secrétariat permanent de cette commission.

Art. 3 - Les structures qui répondent aux critères suivants sont classées au premier niveau :

• Respect de l'obligation de l'audit obligatoire de la sécurité des systèmes d'information et de l'application des recommandations qui en découlent,
• L'utilisation d'équipements et de solutions homologuées conformément à la législation en vigueur et selon une liste établie par l'Agence,
• Hébergement des logiciels, des plateformes électroniques et des infrastructures numériques en interne dans un cloud privé ou chez des fournisseurs de services cloud ayant un label « Fournisseur de services informatiques en nuage gouvernemental (G-cloud) » ou un label « Fournisseur de services informatiques en nuage national (N-cloud) »,

Art. 4 - Les structures qui répondent aux deux critères suivants sont classées au deuxième niveau :

• Respect de l'obligation de l'audit obligatoire de la sécurité des systèmes d'information mais sans l'application entière ou partielle des recommandations qui en découlent,
• L'utilisation d'équipements et de solutions homologuées conformément à la législation en vigueur et selon une liste établie par l'Agence.

Art. 5 - Les structures qui n'appliquent pas l'audit obligatoire de sécurité des systèmes d'information et qui n'appliquent pas les recommandations qui en découlent sont classées au troisième niveau.

Art. 6 - Le présent arrêté sera publié au Journal officiel de la République tunisienne.

Tunis, le 12 septembre 2023.

Le ministre des technologies de la communication

Nizar Ben Neji

Vu

Le Chef du Gouvernement

Ahmed Hachani